a16z repensa KYC: las instituciones abrazan la cadena, sin necesidad de quedar atrapadas en el marco tradicional de KYC

La verificación de identidad tradicional está obstaculizando la entrada de las instituciones en la cadena.

Escrito por: Maggie Hsu, Michele Korver, a16zcrypto

Compilado por: Chopper, Foresight News

La verificación de 'Conoce a tu cliente' (KYC) a menudo se considera un obstáculo para que las instituciones accedan al ecosistema en la cadena y para impulsar el desarrollo general de DeFi.

Para quienes no están familiarizados, estas verificaciones son una parte necesaria de las obligaciones de las instituciones financieras para combatir el lavado de dinero y la financiación del terrorismo, según la Ley de Secreto Bancario (BSA). Este proceso requiere coordinación entre las instituciones emisoras, las instituciones de verificación y los organismos reguladores, y los incentivos, cronogramas y requisitos legales de cada parte son diferentes.

Para los bancos, corredores y otras instituciones sujetas a la BSA, el desafío de llevar productos tokenizados a la cadena radica en cómo cumplir con los requisitos de cumplimiento mientras se llega a más clientes y se obtiene liquidez, ya que los requisitos de cumplimiento pueden aumentar el tiempo y la complejidad. Por ejemplo, al registrarse nuevos clientes, las instituciones a menudo necesitan repetir la verificación de identidad, incluso si el usuario ya ha completado una verificación similar en otro lugar. Afortunadamente, las nuevas herramientas de KYC diseñadas específicamente para blockchain tienen el potencial de hacer que los resultados de la verificación de identidad sean reutilizables, liberándose de los antiguos modelos heredados de las finanzas tradicionales.

El punto de partida de la discusión es aclarar a quiénes necesitan identificar las instituciones. En el sistema financiero tradicional, las instituciones realizan transacciones a través de una red de intermediarios que ya han completado la verificación de identidad, y cada institución cumple de manera independiente con sus propias obligaciones de KYC. Esta lógica también se aplica a los escenarios en la cadena: la obligación de identificación de clientes de un banco solo se refiere a sus propios clientes, y no a cada parte involucrada en la infraestructura de liquidación subyacente.

La regla central de identificación de clientes es quién abre una cuenta en ese banco. Según esta interpretación, un usuario no se convierte en cliente de ese banco solo porque realice transacciones con un cliente del banco o intercambie con un fondo de liquidez proporcionado por el banco. Siempre que el banco establezca un sistema de cumplimiento adecuado que cubra a sus propios clientes y las transacciones relacionadas, podrá cumplir con las obligaciones de cumplimiento de la BSA.

El Departamento del Tesoro de EE. UU. está investigando cómo las instituciones financieras pueden utilizar estas nuevas tecnologías y métodos para cumplir con los requisitos de AML/CFT, que incluyen el Programa de Identificación de Clientes (CIP) y KYC. Con la implementación de la Ley GENIUS, los organismos reguladores necesitan investigar y promover soluciones y estándares innovadores para lograr de manera más eficiente los objetivos modernos de AML y CFT.

Este artículo analizará primero las condiciones legales y los requisitos prácticos para la implementación de KYC reutilizable, y luego explorará el papel que pueden desempeñar herramientas como pruebas de conocimiento cero, credenciales verificables, tokens no transferibles y análisis de datos en la cadena. Finalmente, anticipamos el concepto de 'Conoce a tu Agente': identificar agentes de IA, las entidades que representan y los permisos de operación otorgados.

Aplicando KYC al mundo en la cadena

El proceso tradicional de KYC es realizado de manera independiente por cada institución financiera. Cada plataforma verifica la identidad a través del Programa de Identificación de Clientes (CIP) al momento de que el usuario se registra, mantiene registros de manera independiente y continúa realizando la debida diligencia del cliente. La información de identidad es mantenida por esa institución, convirtiéndose así en un intermediario confiable. Cuando un usuario abre una nueva cuenta en una plataforma, debe repetir el proceso de verificación, incluso si los activos están fluyendo entre individuos y empresas que ya han completado la verificación de identidad.

Las transacciones en blockchain añaden otra capa de complejidad. La transferencia de activos entre cadenas, protocolos y billeteras a menudo no tiene intermediarios que realicen KYC. Una dirección de billetera puede provenir de un intercambio sujeto a la BSA, un protocolo DeFi o una aplicación de consumo. Estos servicios tienen sus propios marcos de riesgo y divisiones de responsabilidad, y las reglas varían entre diferentes jurisdicciones. Algunos intermediarios no tienen la obligación de KYC, y aunque KYC es un requisito obligatorio, actualmente no existe un marco regulatorio unificado que permita transferir directamente los resultados de verificación de la institución A a la institución B. Las instituciones se ven obligadas a verificar repetidamente al mismo usuario, lo que aumenta los costos y los retrasos.

La ex comisionada de la SEC de EE. UU., Peirce, declaró recientemente: 'La forma en que hemos abordado la lucha contra las actividades financieras ilegales ha permanecido sin cambios: recolectar tantos datos como sea posible. Este enfoque no ha sido efectivo, el desarrollo tecnológico ha superado este antiguo sistema, y ha llegado el momento de un cambio.'

Las instituciones financieras, los desarrolladores de blockchain y los organismos reguladores están creando nuevas soluciones para cumplir con KYC y los objetivos de AML y CFT. Una de las direcciones es permitir que las instituciones reutilicen las verificaciones de identidad que ya han completado otros actores. Para implementar este mecanismo, es necesario establecer reglas claras que definan qué resultados de verificación pueden ser aceptados y quién asume la responsabilidad de cumplimiento.

Reutilización y ecosistema de confianza

Los usuarios desean realizar una única verificación de KYC que puedan utilizar en cualquier lugar; este modelo también se conoce como KYC reutilizable, KYC basado en confianza o KYC custodiado.

En escenarios fuera de la cadena, los usuarios también deben repetir la verificación. Una persona que abre cuentas en dos bancos debe completar KYC en ambos, aunque un usuario promedio no abrirá cuentas bancarias con frecuencia. Sin embargo, en el ámbito de las criptomonedas, los usuarios constantemente acceden a nuevos productos, pero no hay intermediarios confiables que permitan que los resultados de KYC sean válidos durante todo el ciclo de transacción.

Las instituciones no buscan eliminar KYC, sino evitar la repetición de KYC. Cada vez que un usuario accede a un nuevo intercambio o aplicación, el proceso de KYC debe comenzar desde cero. Esto es costoso para las plataformas y obstaculiza la experiencia del usuario; a medida que las herramientas de falsificación profunda se vuelven más comunes, la fiabilidad de los métodos de verificación tradicionales sigue disminuyendo. Los bancos y otras instituciones sujetas a la BSA están siendo arrastrados por este mecanismo de verificación de identidad costoso, invasivo de la privacidad y difícil de controlar para combatir actividades financieras ilegales.

La repetición de la verificación significa que los usuarios deben enviar información personal sensible a más instituciones. Incluso al enviar documentos de identificación en formato digital, los usuarios enfrentan riesgos de seguridad personal y son más propensos a sufrir fraudes dirigidos, acoso, robo de identidad y otros usos ilegales de la información. Los credenciales de identidad móviles suelen revelar el nombre completo del usuario, dirección, fecha de nacimiento y foto de una sola vez.

Estos datos de identidad personal almacenados de manera centralizada son un 'tarro de miel' muy atractivo para los delincuentes financieros. Si la información es interceptada, mal gestionada o si las instituciones retienen datos más allá del tiempo permitido, las consecuencias pueden ser graves. Coin Center señala que el sistema actual obliga a las personas a 'presentar repetidamente información personal sensible a bases de datos centralizadas, asumiendo un gran riesgo personal.' Para evitar estos riesgos de seguridad innecesarios, los defensores de la privacidad instan a los organismos reguladores a considerar otras formas de verificación de identidad digital, además de los registros de documentos de identidad gubernamentales.

En el mercado financiero tradicional, hay un caso de referencia: el registro KYC de SWIFT. Los bancos de todo el mundo ya utilizan la red de comunicación de SWIFT para transmitir instrucciones de pago transfronterizo. En 2014, SWIFT lanzó el registro KYC, ampliando esta infraestructura al ámbito del cumplimiento: los bancos solo necesitan cargar la información una vez y pueden compartirla con cualquier contraparte que la necesite. Este registro ahora cubre cerca de 8000 instituciones en más de 200 países, y el funcionamiento de este mecanismo se basa en que las transacciones ocurren entre instituciones, donde la identidad de las contrapartes es conocida.

La industria de las criptomonedas aún no tiene un registro centralizado correspondiente. Si Coinbase ya ha completado el KYC de un usuario según los estándares bancarios, ¿pueden otras plataformas aceptar directamente ese resultado de verificación? Si un usuario que ha completado KYC en Robinhood desea acceder a un protocolo de crédito en la cadena, ¿puede el trabajo de cumplimiento que Robinhood realizó anteriormente trasladarse con el usuario?

Esto es lo que se llama 'liquidez de lista blanca'. Acceder a un fondo de usuarios pre-verificados es, en esencia, una distribución de la capacidad de cumplimiento, pero no es un requisito legal obligatorio. Independientemente de si los clientes operan en un fondo de lista blanca o en un fondo sin licencia, las obligaciones de cumplimiento de la institución permanecen. En el caso de valores tokenizados, el control de acceso al fondo y el establecimiento de estándares de acceso a las transacciones pueden activar las obligaciones regulatorias bajo las últimas exenciones innovadoras de la SEC de EE. UU. Los emisores de activos ya están conectando proactivamente con las principales bolsas de valores del mundo, buscando aprovechar el marco de cumplimiento de las bolsas, aunque la estructura comercial correspondiente aún se está construyendo.

Externalización y aceptación de cumplimiento

Las nuevas soluciones diseñadas específicamente para la industria de las criptomonedas pueden reducir la recopilación innecesaria de datos, proporcionando alternativas auditables y verificables, liberándose del KYC 'basado en procesos' del pasado. De hecho, ya han surgido cada vez más casos de KYC basado en confianza en el ámbito de las criptomonedas.

La aceptación de KYC también puede entenderse como un 'ecosistema de confianza': una red de confianza construida por grandes proveedores de KYC (o alianzas de proveedores) que es similar al concepto de inicio de sesión único. Ejemplos de proveedores incluyen Sumsub ID, World ID, MoonPay y Stripe, que ofrece servicios a través de Privy. La verificación inicial generalmente cobra entre 1 y 2 dólares a la plataforma iniciadora, y cuando otras plataformas se conectan, solo necesitan realizar parte del proceso de KYC (por ejemplo, pruebas de vida), reduciendo el costo de verificación por usuario.

Un caso reciente es el Open Trading Layer (OTL) de Fireblocks, que es un conjunto de protocolos abiertos que unifica los estándares de identidad, cumplimiento y mensajería para los participantes en las finanzas en la cadena. Es importante señalar que el KYC es realizado por entidades reguladas dentro de la red, y no por el OTL en sí. El OTL establece un protocolo compartido, y una vez que una institución dentro de la red completa la verificación de un usuario, otros participantes pueden reconocer ese estado de verificación sin necesidad de repetirlo.

Otra solución similar es Privado ID (anteriormente Polygon ID, que se escindió de Polygon Labs en 2024 y se fusionó recientemente con Disco.xyz), que permite KYC electrónico reutilizable. Los emisores de credenciales, como agencias gubernamentales, bancos y proveedores de KYC, generan credenciales verificables; los usuarios solicitan, recopilan y almacenan las credenciales en una billetera de identidad. Las partes verificadoras pueden consultar las credenciales correspondientes en la billetera del usuario, tanto en escenarios en la cadena como fuera de ella.

SpruceID es otra solución basada en estándares de identidad. Fuentes confiables como departamentos de vehículos y agencias de licencias estatales emiten credenciales digitales verificables, que los usuarios almacenan en sus teléfonos. Estas herramientas simplifican la reutilización de los resultados de verificación, pero las instituciones deben ser conscientes de su responsabilidad legal al aceptar resultados de verificación de terceros.

Las instituciones pueden externalizar las operaciones de KYC, pero la calificación legal depende del proveedor y del modelo de colaboración. Según el manual de la BSA/AML del FFIEC, la aceptación es un término legal específico que solo se aplica a la aceptación de los resultados de verificación de otra institución financiera regulada. Si el socio es un proveedor de verificación de identidad o una agencia de informes de crédito que no cumple con los requisitos, solo se considera externalización. En este caso, la institución aún debe asumir toda la responsabilidad del Programa de Identificación de Clientes.

Asimismo, el Grupo de Acción Financiera Internacional (GAFI), que establece estándares globales para AML y CFT, estipula que los países pueden permitir que las instituciones financieras deleguen a terceros parte de la debida diligencia del cliente, pero deben cumplir simultáneamente con tres condiciones:

1. El tercero está sujeto a la regulación y supervisión relacionadas con AML y KYC, y tiene las medidas de cumplimiento correspondientes;
2. La institución aceptante puede, a solicitud, acceder de inmediato a los datos originales de KYC;
3. La institución aceptante asume toda la responsabilidad legal por el resultado final de cumplimiento.

Estas reglas no pueden aplicarse directamente a la industria de las criptomonedas. Primero, el requisito de 'acceso inmediato a los datos originales' significa que los organismos reguladores o de aplicación de la ley deben poder acceder en cualquier momento a la información personal de los usuarios. Esto entra en conflicto directo con el diseño de protección de la privacidad de la mayoría de las soluciones de KYC en la cadena.

Además, muchas plataformas de criptomonedas no cumplen con la definición de 'entidades reguladas' según las reglas de aceptación de AML y KYC de EE. UU., incluso si están registradas como empresas de servicios monetarios o como fideicomisarias con licencia estatal y asumen sus propias obligaciones de AML. Por lo tanto, no pueden actuar como contrapartes en una relación de aceptación formal.

Este es un obstáculo que debe resolverse mientras el Departamento del Tesoro de EE. UU. avanza hacia un enfoque más flexible y nativo para la identificación de clientes en criptomonedas. Las soluciones descentralizadas son más económicas, eficientes y pueden proteger mejor la privacidad del usuario, reduciendo el riesgo de filtraciones en la red; sin embargo, las agencias de aplicación de la ley aún necesitan una fuente confiable que pueda confirmar la identidad real del usuario y proporcionar evidencia escrita para investigaciones o pruebas en tribunales.

Además de los requisitos de los programas contra el lavado de dinero, las instituciones financieras también deben cumplir con las reglas de transferencia de fondos, conocidas como la "regla de viaje". Cualquier institución financiera o proveedor de servicios de activos virtuales (VASP, que en EE. UU. incluye a las entidades sujetas a la Ley de Secreto Bancario que transfieren montos que superan un umbral, que generalmente es de 3,000 dólares; en otras jurisdicciones, el umbral es más bajo), debe recopilar y transmitir la información de identidad del pagador y del beneficiario a la siguiente entidad en la cadena. Este proceso fluye sin problemas en el contexto financiero tradicional, ya que los bancos ya poseen datos KYC y tienen canales de mensajería establecidos como SWIFT para transmitir información. Sin embargo, en el ámbito de las criptomonedas, las transacciones en la cadena y la información KYC están separadas.

Varios proveedores establecidos ofrecen soluciones de cumplimiento de la regla de viaje específicas para la industria de criptomonedas. Esto incluye el TRUST (solución técnica universal para la regla de viaje) lanzado por la alianza de la industria Coinbase, así como productos similares de Notabene y Sumsub.

En EE. UU., la transmisión de mensajes de la regla de viaje solo se requiere entre instituciones financieras. Las instituciones financieras y los proveedores de servicios de activos virtuales no necesitan enviar este tipo de datos a entidades no financieras o no VASP (como billeteras autogestionadas).

Las instituciones financieras no deben preocuparse excesivamente por el cumplimiento de la regla de viaje al interactuar con tecnologías blockchain no intermediadas como DeFi y billeteras autogestionadas. Los bancos o intercambios aún pueden requerir que los usuarios proporcionen información para las transacciones de entrada y salida de billeteras autogestionadas, lo que se considera un requisito de sus programas de AML/CFT basado en el riesgo de la institución, pero la regla de viaje en sí no tiene este requisito obligatorio.

Sin embargo, las posiciones en jurisdicciones fuera de EE. UU. varían en cuanto al umbral de monto que activa la regla y si los VASP deben recopilar datos de individuos/entidades no VASP. Las políticas de cada país aún están en desarrollo. Los reguladores de todo el mundo siguen explorando cómo aplicar KYC, AML y la regla de viaje en escenarios en la cadena.

La buena noticia es que EE. UU. no necesita nueva legislación específica. El marco legal y regulatorio existente puede adaptarse a través de guías regulatorias, enmiendas a las reglas o exenciones innovadoras. El Congreso ya ha reconocido la lógica de asignación de responsabilidades mencionada anteriormente. La Ley GENIUS asignará las obligaciones de AML y sanciones a los emisores de stablecoins con licencia, es decir, a entidades identificables en la capa de aplicación, y no a la red subyacente no autorizada que circula las stablecoins. Los reguladores también reconocen el valor de las nuevas tecnologías en el ámbito del cumplimiento. En la propuesta de FinCEN de abril de 2026, se enumeran soluciones innovadoras como el aprendizaje automático, la IA generativa, la identidad digital, el análisis de monitoreo de blockchain y las interfaces API como formas de cumplir con las obligaciones regulatorias.

FinCEN apoya a las instituciones financieras en la adopción de nuevas tecnologías, indicando que las instituciones "experimentan de manera responsable con tecnologías innovadoras en sus programas de AML/CFT y no enfrentarán una revisión regulatoria significativa o acciones de aplicación simplemente por usar tecnologías innovadoras." Para facilitar la implementación práctica de las instituciones, la industria de criptomonedas pide a FinCEN y a los reguladores bancarios que aclaren formalmente, a través de reglas o guías escritas, cuándo se puede utilizar la identidad digital para cumplir con los requisitos de los programas de AML, incluyendo la identificación de clientes CIP/KYC.

Incluso si las guías regulatorias son más claras, no todos los juicios de KYC pueden simplificarse en pruebas criptográficas binarias. Las pruebas de conocimiento cero pueden demostrar la fecha de nacimiento, la nacionalidad, los resultados de las verificaciones de sanciones y la posesión de credenciales; sin embargo, las investigaciones de AML más complejas que requieren juicio humano aún dependen de la debida diligencia tradicional.

Los certificados verificables pueden ayudar o incluso reemplazar algunas etapas en la identificación de clientes CIP/KYC, pero no reemplazarán completamente la debida diligencia del cliente basada en el riesgo. Las reglas actuales del Tesoro ya permiten métodos de verificación no documentales, y las instituciones pueden usar una combinación de varios métodos de verificación basados en su propio juicio de riesgo. Las preguntas frecuentes (FAQ) de FinCEN de septiembre de 2026 reconocen claramente que los certificados digitales verificables calificados pueden utilizarse para los programas de identificación de clientes de los bancos, pero no han reconocido completamente todos los diseños de identidad o certificados descentralizados.

FinCEN y los reguladores bancarios relevantes pueden mejorar las guías sobre la base de la autoridad existente. Las opciones incluyen: publicar guías interpretativas, agregar preguntas frecuentes, exenciones dirigidas, proyectos piloto (aprobación y despliegue después de completar el piloto), estándares para emisores de certificados, o enmendar regulaciones. Este esquema permite a las instituciones financieras tradicionales y a entidades públicas o privadas calificadas emitir certificados verificables según un estándar unificado, reduciendo la duplicación de la construcción de archivos de identidad en cada banco.

Antes de esto, las instituciones financieras ya podían utilizar herramientas que cumplieran con las reglas actuales. A continuación, se presentan ideas viables para la implementación.

Soluciones Viables

Las instituciones pueden apoyarse en un sistema backend confiable y conforme que permita la reutilización de credenciales de identidad entre diversas aplicaciones en la cadena. Un proveedor confiable verifica la identidad del usuario y genera un registro de resultados de verificación en forma de un certificado digital firmado. El usuario presenta este certificado a otras aplicaciones, que solo necesitan verificar la calificación del emisor del certificado para confirmar si cumple con sus propios estándares de verificación.

Esta idea no es nueva y se puede rastrear al menos hasta la propuesta de tokens vinculados al alma de Vitalik Buterin en 2022. Las soluciones complementarias incluyen la identidad descentralizada (DID) y los certificados verificables según el estándar W3C, que no son exclusivos de la industria de criptomonedas.

En la práctica, un proveedor de KYC conforme y "certificado", un banco o incluso un gobierno actúa como emisor confiable, verifica la identidad del usuario y emite un certificado. El certificado se almacena en la billetera del usuario, quien puede optar por revelar información a las aplicaciones que lo requieran.

De manera similar, un sistema de prueba de conocimiento cero permite a los usuarios demostrar que han completado KYC sin revelar información personal, protegiendo la privacidad. Los usuarios pueden reutilizar este certificado, siempre que cumpla con los requisitos de identificación de clientes CIP de la entidad receptora, reduciendo la verificación duplicada.

El mecanismo de verificación también necesita ser combinable, permitiendo que las aplicaciones integren la lógica de verificación en su propia verificación de cumplimiento. Más específicamente, para lograr el máximo efecto, el emisor y la plataforma pueden integrar esta lógica en contratos de tokens o contratos inteligentes en la capa de aplicación. Las instituciones pueden cumplir con sus propios requisitos de cumplimiento sin necesidad de componentes externos, ni tener que llevar la lógica de cumplimiento a la red de blockchain subyacente.

Métodos de Implementación

Existen otras herramientas viables que ayudan a las instituciones financieras a cumplir con los requisitos de sus programas de AML basados en el riesgo: conoce tu billetera (KYW), conoce tus activos (KYA), conoce tus transacciones (KYT). Los intercambios y proveedores de servicios de transferencia de dinero ya han incorporado estos métodos en sus programas generales de AML.

Conoce tu billetera (KYW)

KYW vincula la verificación de identidad con la dirección de blockchain utilizada por el cliente, ayudando a las instituciones a confirmar quién controla realmente la billetera y qué activos y servicios puede acceder el cliente. KYW incluye:

• Vinculación de identidad: generalmente en la etapa de KYC al abrir la cuenta, vinculando la identidad real con la dirección de la billetera;
• Verificación de vida y unicidad: confirmando que la identidad pertenece a un ser humano real, sin identidades duplicadas entre billeteras; y refrescando periódicamente la relación de vinculación para garantizar que la misma identidad real continúe controlando la billetera;
• Control de acceso/permisos: una vez completada la verificación de la billetera, se obtiene un acceso específico (si es un inversor calificado, si la ubicación es conforme, si puede poseer ciertos tipos de activos), es decir, el nivel de acceso conforme.

La mayoría de los KYC en el ámbito de las criptomonedas siguen el modelo tradicional. Proveedores como Onfido, Veriff, Trulioo, Socure, Incode, ID.me, Persona, Sumsub y Sardine ofrecen vinculación de identidad, verificación de documentos, detección de vida y filtrado de AML. Esta verificación de identidad generalmente se realiza fuera de la cadena, y la verificación en sí no puede confirmar qué dirección de billetera controla el usuario; vincular la identidad verificada con la dirección de la billetera es un paso adicional.

Las aplicaciones en la cadena pueden utilizar tokens no transferibles para registrar los resultados de verificación, emplear pruebas de conocimiento cero para limitar la divulgación de información personal y utilizar soluciones de verificación de identidad para confirmar que el usuario es una persona real. Se pueden combinar múltiples soluciones.

Este enfoque utiliza tokens no transferibles y no vendibles, comúnmente conocidos como tokens vinculados al alma, que se vinculan permanentemente a una dirección de billetera específica. Dentro del sistema KYW, los proveedores de servicios conformes completan la verificación de identidad del usuario fuera de la cadena y acuñan un token en la billetera del usuario como registro de verificación. Quadrata es un ejemplo de esta solución, generando tokens vinculados al alma para verificar atributos como nacionalidad y edad del usuario.

Estos tokens facilitan la auditoría de registros de verificación, pero el hecho de que no sean transferibles no puede evitar que otros tomen el control de la billetera. Por ejemplo, si la clave privada de la billetera es robada y el control se transfiere, la identidad correspondiente al token ya no coincide con el actual controlador de la billetera. El sistema también necesita mecanismos de expiración y revocación de certificados, dependiendo de la implementación del producto; Quadrata permite a los emisores revocar certificados.

Una solución relacionada es integrar la lógica de cumplimiento en los tokens de activos. ComposerX de DTCC, una plataforma de tokenización para instituciones, utiliza un marco de tokens sensibles a la conformidad (CATF) que aplica regulaciones y reglas comerciales durante la ejecución de transacciones. El éxito de la transferencia de activos depende de si se cumplen las condiciones de cumplimiento.

También hay proyectos emergentes que planean emitir tokens de identidad, como Burrata, cuya solución técnica es viable, pero la adecuación del producto al mercado es insuficiente, lo que ha llevado a su cierre.

Las pruebas de conocimiento cero abordan otro punto crítico: los usuarios pueden demostrar declaraciones relacionadas con la identidad sin revelar los datos originales subyacentes. Ya existen numerosas soluciones que pueden generar pruebas de conocimiento cero a través del escaneo de documentos.

• Self.xyz ofrece una solución de "pre-KYC" que protege la privacidad: los usuarios escanean su pasaporte físico, generando una prueba de conocimiento cero de la información del pasaporte que demuestra que tienen más de 18 años y no están en la lista de sanciones. Esto puede servir como una capa de filtrado antes del KYC formal, filtrando bots y billeteras sancionadas, ahorrando tiempo.
• Aztec, una solución de privacidad en Ethereum, adquirió zkPassport, utilizando un enfoque similar para escanear pasaportes y generar pruebas de conocimiento cero.
• Opacity Labs utiliza un protocolo de seguridad de capa de transmisión de conocimiento cero (zkTLS); su red de datos confiables (VDN) puede generar pruebas verificables sobre cualquier hecho de Web2 (como la propiedad de cuentas, historial de transacciones) y transmitirlas en la cadena sin revelar los datos originales subyacentes.

Finalmente, hay soluciones de verificación de humanidad. Estas soluciones no verifican quién es el usuario, sino que solo validan que la billetera está controlada por una única y real persona humana.

Worldcoin's World ID utiliza hardware especializado Orb para capturar información biométrica del iris, demostrando la unicidad humana. Orb captura imágenes del iris, las cifra y las envía al teléfono del usuario, eliminando la imagen original en el dispositivo; genera un hash que se compara con otros hashes para completar la verificación de unicidad. El usuario genera un par de claves en la World App y, cuando necesita demostrar su identidad humana única, genera una prueba de conocimiento cero.

La verificación de humanidad combinada con la vinculación de identidad (demostrando quién es esta persona real) puede resistir fuertemente la suplantación profunda, reduciendo el robo de identidad en ciertos escenarios, como la apertura de cuentas bancarias. World ha colaborado con Zoom para comparar la imagen de video del usuario con el World ID, marcando la cuenta de Zoom como "verificada como persona real". Otra solución, Human Passport, se utilizó inicialmente para proteger proyectos financiados por Gitcoin, proporcionando herramientas de verificación de identidad modular y defensa contra ataques de brujas.

Tenga en cuenta: la verificación de humanidad solo puede abordar problemas de ataques de brujas y suplantación profunda, y no puede cumplir con los requisitos de identificación de identidad a nivel regulatorio; para formar una solución completa, aún se necesitan otros métodos de KYC.

Las soluciones mencionadas se centran en la persona detrás de la billetera. Los activos en sí también plantean otro conjunto de problemas de cumplimiento, incluyendo el origen de los activos, la posesión y las restricciones de permisos de transferencia.

Conoce tus activos (KYA)

KYW se centra en quién posee los activos, KYA se centra en lo que se puede hacer con esos activos y con quién se puede comerciar.

En general, las leyes contra el lavado de dinero son amplias. La Ley de Secreto Bancario no se preocupa por el tipo de activo; la categoría de activos es más bien evaluada cualitativamente por las agencias reguladoras del mercado: si se trata de valores o materias primas, entre otros. Sin embargo, KYA es una herramienta importante para que las instituciones financieras evalúen múltiples riesgos de cumplimiento. KYA se centra en el origen de los activos: cómo se emiten los activos, quién los emite, incluyendo la verificación de las propiedades de cumplimiento en la etapa de emisión y a lo largo de todo su ciclo de vida.

La forma más directa de implementar esto es incluir restricciones de transferencia en el contrato del token en el momento de la emisión. La plataforma de tokenización RWA Securitize ha integrado la lógica de cumplimiento a nivel de token. Al emitir BUIDL de BlackRock y ACRED de Apollo, el contrato del token exige que las transferencias solo ocurran entre billeteras en una lista blanca. Los activos no dependen de un nivel de acceso externo; el contrato del token ejecuta directamente las restricciones de transferencia. Otras plataformas como OUSG de Ondo y USTB de Superstate utilizan un modelo similar: cada transacción verifica la lista blanca en la cadena, y tanto el remitente como el receptor deben completar la verificación antes de que se ejecute la liquidación.

Un desafío no resuelto en el ámbito de KYA es la trazabilidad de los activos: no solo se debe confirmar la propiedad del token, sino también rastrear el origen de los activos. Los tokens emitidos por plataformas reguladas y con registros limpios en KYA tienen un origen claro. Sin embargo, cuando los tokens se transfieren a través de puentes, se empaquetan o se utilizan como colateral en protocolos DeFi, la cadena de trazabilidad puede verse comprometida. La etapa de emisión puede generar un registro inicial claro; sin embargo, el mantenimiento y la interpretación de este registro durante el flujo posterior de los activos sigue siendo un desafío por resolver, y este problema también está relacionado con la debida diligencia de KYT en las transacciones.

Sin embargo, esto se considera más un problema operativo que una trampa de responsabilidad. La Oficina de Control de Activos Extranjeros de EE. UU. (OFAC) no considera que las instituciones deban asumir el riesgo de sanciones de cada dirección por la que pasan los activos. Las herramientas de análisis de blockchain pueden distinguir entre la exposición al riesgo directo (cuando los activos se transfieren directamente desde una dirección sancionada) y la exposición indirecta a través de múltiples saltos. Las instituciones gestionan esta última a través de umbrales de riesgo, aislamiento de activos y reportes de transacciones sospechosas, en lugar de rechazar todos los activos que pasan por infraestructuras no autorizadas.

Conoce tu transacción (KYT)

KYT ayuda a las instituciones a evaluar los riesgos mencionados, rastrear las conexiones entre diferentes billeteras y trazar el camino de los activos entre ellas.

El monitoreo de transacciones es una herramienta fundamental para las instituciones financieras, utilizada para observar el comportamiento de los clientes e identificar actividades sospechosas que deben ser reportadas. Para un activo específico, KYT puede trazar el historial de transacciones a lo largo de todo el ciclo de vida del activo, mostrando qué billeteras y protocolos han estado en contacto con él. En términos simples, KYT se centra en examinar la transacción en sí, independientemente de la revisión de la identidad de las partes involucradas. Esta herramienta satisface los requisitos de debida diligencia continua (CDD) y debida diligencia mejorada (EDD).

Proveedores de servicios de análisis en cadena como Chainalysis, Elliptic y TRM pueden rastrear las relaciones entre billeteras y seguir el flujo de fondos a través de diferentes cadenas y protocolos. Combinando datos en cadena y fuera de cadena, así como nuevas herramientas de IA, estos productos ayudan a las instituciones financieras a cumplir con las obligaciones de cumplimiento relacionadas con la Ley de Secreto Bancario y las sanciones.

Ejemplos de herramientas de IA relacionadas incluyen Eunice.ai, que utiliza un marco de clasificación de activos para gestionar el monitoreo de riesgos y la divulgación de información; Didit, que proporciona filtrado y monitoreo de transacciones, permitiendo análisis de riesgo en tiempo real por billetera; y Sardine.ai, que realiza filtrados iniciales y ofrece monitoreo continuo de transacciones diarias.

Además de KYW, KYA y KYT, algunas blockchains y protocolos incorporan funciones de control de cumplimiento.

Soluciones a nivel de blockchain

Las cadenas de permisos y las cadenas públicas sin permisos están proporcionando cada vez más herramientas para implementar controles de acceso y proteger la privacidad. Estas herramientas pueden interceptar transacciones antes de que se cumplan ciertas condiciones, al mismo tiempo que protegen la información sensible de ser divulgada, manteniendo un canal de verificación regulatoria.

La Ley de Secreto Bancario y las regulaciones de sanciones no exigen que los nodos verifiquen que todos los participantes de la red estén autorizados o que se imponga un control de acceso en toda la red. Independientemente de la red utilizada, las instituciones solo necesitan asumir la responsabilidad por sus propios clientes y transacciones. Las instituciones pueden elegir entre las soluciones a continuación, siempre que cumplan con las obligaciones de cumplimiento.

Por ejemplo, Canton es una red pública con permisos, donde los detalles de las transacciones solo están abiertos a las partes relevantes que necesitan conocer, fusionando profundamente la lógica de cumplimiento con los contratos inteligentes. Otro ejemplo es Arc de Circle, donde los nodos de verificación operan en un modo de permisos, pero la cadena en sí es pública; los nodos de verificación son participantes identificados que han completado la verificación KYC/KYB. En contraste, los protocolos sin permisos eligen nodos de verificación para cada transacción. Procesar esta transacción no convierte a los nodos de verificación en contrapartes de las instituciones o clientes.

Algunos protocolos sin permisos también admiten fondos de acceso, puertas de enlace o reglas que facilitan a los usuarios institucionales gestionar los permisos de acceso. Solana utiliza funciones de expansión de tokens para lograr cumplimiento; a través de ganchos de transferencia, cada transferencia verifica la lista blanca en la cadena, y solo se ejecutan las transacciones si tanto el remitente como el receptor están en la lista blanca. La verificación se realiza a nivel de activos, mientras que la red subyacente permanece sin permisos, y la lista blanca generalmente se genera fuera de la cadena.

Uniswap v4, como protocolo sin permisos, tiene funciones de gancho que pueden implementar lógica personalizada en puntos clave del ciclo de vida del intercambio, permitiendo la creación de fondos de acceso. El token en sí permanece sin permisos, solo el fondo establece umbrales de acceso. La implementación de fondos de acceso con restricciones no convierte al protocolo en una cadena de permisos; la entidad que implementa el fondo y establece las reglas de acceso asume las obligaciones correspondientes. Hyperliquid también admite la propuesta HIP-3, que permite a los implementadores limitar las transacciones a direcciones aprobadas.

El protocolo de préstamos descentralizado Morpho permite a los usuarios y participantes del mercado construir controles de cumplimiento. El protocolo en sí no ejecuta KYC ni verifica identidades. En el protocolo de crédito de tasa variable Morpho Blue, si el mercado utiliza tokens de lista blanca como USDC en su versión KYC como colateral, se pueden implementar controles de cumplimiento a nivel de activos, permitiendo que solo los usuarios verificados interactúen con ese mercado específico.

Morpho Midnight, un protocolo de crédito de tasa fija basado en intenciones, y Morpho Vaults V2, permiten establecer permisos de acceso de manera más flexible. Morpho Vaults V2 permite a los administradores independientes establecer umbrales de acceso personalizados, restringiendo la calificación de los prestamistas, permitiendo que el capital se distribuya a través de redes a prestatarios con calificaciones de cumplimiento específicas. Este diseño modular permite a las instituciones que desean comerciar solo con contrapartes verificadas utilizar mercados y bóvedas con permisos, sin comprometer la eficiencia de liquidez del ecosistema del protocolo en su conjunto. Esta es una elección de producto y preferencia de riesgo; las obligaciones de cumplimiento de las instituciones no dependen de si otros participantes en el mercado compartido han completado la verificación.

Transmisión de información de cumplimiento entre cadenas

El control de acceso determina quién puede participar en un mercado o bóveda específicos. Cuando los activos se transfieren entre cadenas, los emisores y las aplicaciones enfrentan otro desafío: transmitir la información de cumplimiento relevante y ejecutar reglas uniformes en múltiples redes.

LayerZero admite la transmisión de "estado de cumplimiento" entre cadenas, evitando la necesidad de reconstruir y mantener la lógica de cumplimiento en cada cadena. Su estándar de token homogéneo en toda la cadena (OFT) admite ganchos de lógica personalizada, donde tanto la cadena de origen como la de destino deben completar la verificación de cumplimiento antes de la liquidación de la transferencia de activos.

LayerZero V2 introduce una red de verificación descentralizada configurable (DVN) para validar mensajes entre cadenas. DVN puede configurarse para hacer cumplir la verificación de cumplimiento: verificar si el usuario/billetera ha completado KYC, filtrar direcciones que coincidan con listas de sanciones y confirmar que los mensajes incluyan metadatos de reglas de viaje, de lo contrario, el mensaje no se considerará válido.

Chainlink también conecta la verificación fuera de la cadena con los requisitos de cumplimiento en la cadena, utilizando el motor de cumplimiento automatizado de Chainlink (ACE) para llevar los datos de los proveedores de KYC a la cadena. ACE permite reutilizar KYC, apoyando la vinculación de billeteras de usuarios entre cadenas: la verificación de credenciales y el registro se realizan una vez, pero se pueden invocar múltiples veces.

Perspectiva macro

Estas herramientas abordan diferentes aspectos del cumplimiento en la cadena. En la práctica, es necesario integrarlas con los sistemas de cumplimiento existentes para que los productos tokenizados lleguen a los clientes.

La forma más sencilla a corto plazo es colaborar con intercambios que ya tengan sistemas de cumplimiento establecidos para llegar a más clientes, aunque esto no es un requisito de cumplimiento obligatorio. Los emisores también pueden incorporar la lógica de control directamente en el token, como en los casos de BUIDL, OUSG y USDC, donde los activos pueden circular en cadenas públicas, pero están sujetos a las reglas dentro del contrato.

La próxima oportunidad es permitir que los resultados de verificación de cumplimiento sean reutilizables dentro del ecosistema DeFi. Esto significa que las aplicaciones e instituciones pueden confiar en la información de verificación proporcionada por otros proveedores, evaluándola de acuerdo con sus propios estándares. La implementación de este sistema probablemente dependerá de estándares de protocolo unificados, proveedores de software enfocados en el cumplimiento y plataformas tradicionales que tengan usuarios KYC existentes para la distribución.

Dirección futura: Conoce a tu agente (Know Your Agent)

Los certificados reutilizables pueden confirmar la identidad de los clientes humanos. Pero cuando los agentes de IA realizan transacciones en la cadena, gestionan bóvedas o inician pagos en nombre de los usuarios, las instituciones aún necesitan confirmar: quién autorizó a este agente y qué permisos de operación tiene. Conocer a tu agente (Know Your Agent) extiende esta discusión a los softwares que ejecutan operaciones en nombre de los clientes, definiendo sus límites de permisos.

Así como los humanos necesitan un puntaje de crédito para solicitar un préstamo, los agentes de IA también necesitan certificados de firma criptográfica. Este es el nuevo marco emergente de Know Your Agent: una versión KYC para agentes de IA. Sin un marco Know Your Agent bien desarrollado, en caso de problemas de responsabilidad, puede surgir una situación incómoda donde nadie asuma la responsabilidad y todos puedan ser considerados responsables.

El marco Know Your Agent requiere nuevos tipos de certificados que demuestren quién autorizó al agente, a quién representa y dentro de qué restricciones opera. Cada agente debe ser identificable, registrable (vinculado a una persona o entidad) y tener un historial de reputación, verificando las restricciones de permisos antes de la interacción. Algunas soluciones operan en la cadena, otras fuera de ella, pero cada vez más soluciones comparten un conjunto común de primitivas criptográficas, incluyendo firmas RFC 9421 y credenciales verificables W3C.

Soluciones en la cadena

El estándar ERC-8004 se implementará en la red principal de Ethereum en enero de 2026, siendo el primer estándar importante de identidad de agentes de IA en la cadena, con más de 30,000 registros en la primera semana de lanzamiento. Proporciona un sistema en la cadena para registrar agentes de IA, rastrear su reputación y registrar resultados de verificación independientes. Se acuña un token ERC-721 para cada agente, apuntando a su archivo de registro. Los registros en la cadena son inmutables, tienen credibilidad neutral y son combinables, reduciendo la dependencia de una sola plataforma.

Self.xyz ha lanzado el Self Agent ID basado en este estándar, que es un sistema de registro de identidad en la cadena, vinculando la identidad del agente de IA con la verificación de identidad humana de Self. Cada agente tiene un NFT no transferible respaldado por un pasaporte de verificación, y las aplicaciones pueden reutilizar este certificado para verificar que detrás del agente hay un humano real.

Las ventajas de las soluciones Know Your Agent en la cadena son: inmutabilidad, credibilidad neutral y combinabilidad.

Soluciones fuera de la cadena

Muchas soluciones utilizan certificados y mensajes de firma fuera de la cadena para identificar agentes y definir permisos, incluso si las acciones de pago ocurren en la cadena.

• El acuerdo de pago de Google AP2 utiliza mensajes firmados para registrar las instrucciones del usuario, incluyendo un límite de gasto y condiciones de compra, manteniendo evidencia verificable de la autorización obtenida por el agente.
• El kit de herramientas comerciales de Catena Labs propone la solución ACK v2, utilizando una carta de autorización firmada que especifica quién autoriza al agente y el alcance de la autorización. Cada solicitud incluye la carta de autorización y la firma del mensaje HTTP (RFC 9421).
• Skyfire KYAPay permite a los agentes auto-certificarse, mostrando la representación del sujeto; utiliza un comprobante digital firmado llamado JSON Web Token (JWT). Skyfire colabora con el marco Agent Trust de Yibolai, vinculando agentes y consumidores verificados, así como dispositivos.
• La billetera de agentes de Circle se centra en la custodia y el control de permisos. Las claves de firma se fragmentan y son invisibles para el agente, mientras que el usuario retiene el derecho de custodia de los activos. El agente solo puede realizar transacciones de manera autónoma dentro de los límites de gasto y restricciones de destinatario establecidos por el usuario.
• Anchorage ofrece servicios bancarios para agentes, vinculando los comprobantes al usuario o institución y otorgando al agente permisos para gastar dentro de un presupuesto específico. Las transacciones dejan un rastro bajo la identidad del agente, y los permisos pueden ser revocados en cualquier momento.
• MasterCard Agent Pay registra a los agentes, vinculando los pagos de agentes y la autorización del consumidor, así como los comprobantes de pago tokenizados. Colabora con Cloudflare, utilizando solicitudes de red firmadas para ayudar a los comerciantes a verificar los agentes de IA que acceden a sus sitios web.
• Visa Smart Business utiliza tokens de pago digitales en lugar de información de tarjetas de crédito, confirmando que el agente tiene la autorización de operación del consumidor y estableciendo límites de gasto.
• Zero Hash ofrece un conjunto financiero para agentes, filtrando a los agentes de IA y sus entidades detrás antes de las transacciones. Soporta la delegación de permisos por parte de los usuarios y el control de transacciones.
• Ledger está construyendo soluciones que conectan hardware seguro con humanos autorizados. Su hoja de ruta incluye la ejecución forzada de reglas de gasto en hardware, requiriendo aprobación manual para transacciones sensibles.

Delegar operaciones financieras a agentes de IA plantea cuestiones sobre autorización y control, volviendo al tema fundamental de cómo las instituciones aplican verificaciones de cumplimiento en productos y servicios.

Mover el sistema financiero a la cadena también representa una oportunidad para optimizar el sistema de cumplimiento. La mayoría de las soluciones mencionadas no requieren nueva legislación. Las reglas existentes del Ministerio de Finanzas ya reconocen métodos de verificación no documentales, y las preguntas frecuentes de septiembre de 2026 reconocen los comprobantes digitales verificables para la identificación de clientes (CIP). FinCEN ha declarado que las instituciones que experimenten responsablemente con nuevas tecnologías no enfrentarán sanciones de cumplimiento. Las instituciones que buscan evitar procesos KYC duplicados pueden comenzar con las herramientas existentes.